Capcom dit que 11 774 247 adresses courriel de CAPCOM ID ont été copiées

Capcom dit qu’un tiers s’est introduit dans CAPCOM ID, le compte utilisé pour ses sites et pour jouer en ligne à certains jeux Capcom. Son avis du 22 octobre 2026 chiffre les dossiers de courriel copiés à 11 774 247, un total mondial. Les cartes de crédit n’étaient pas dans la copie. Les jeux se lancent encore, et CAPCOM ID permet encore de se connecter.

Ce qui a été copié

Pour ces 11 774 247 dossiers, Capcom indique l’adresse courriel et ce qu’elle appelle des renseignements d’identification propres au système : la date de création du compte, la date de la dernière connexion, le nombre de connexions, et l’adresse IP du client utilisée pour cette dernière connexion.

Deux ensembles plus petits sont à l’intérieur de ce total, pas en plus :

• Date de naissance, genre, pays ou région, et pseudonyme : 43 dossiers.
• Comptes dont le mot de passe CAPCOM ID a été changé sans permission : 196. Capcom dit avoir déjà réinitialisé ces mots de passe.

Capcom n’a pas confirmé que les mots de passe choisis par les clients eux-mêmes ont été copiés. Les 196 changements sont un fait distinct. Quelqu’un a changé ces mots de passe. Capcom ne dit pas avoir fini de mesurer à quoi ces 196 comptes ont servi après le changement.

Quand Capcom l’a découvert

Le 19 octobre, Capcom a vu une activité qui ressemblait à un accès non autorisé à CAPCOM ID, a commencé à le bloquer, et a confirmé le jour même que l’accès avait eu lieu. Elle a ensuite travaillé sur la méthode d’attaque. L’avis dit que cette méthode a été identifiée et corrigée. Il ne la décrit pas.

Le 20 octobre, l’entreprise a mis en place un quartier général d’incident, a confirmé que certains renseignements de clients CAPCOM ID avaient été consultés, a confirmé les changements de mot de passe non autorisés, et a signalé l’affaire à son organe consultatif externe, le Information Technology Security Oversight Committee.

Le 21 octobre, elle a signalé l’incident à la police préfectorale d’Osaka et à la Commission de protection des renseignements personnels du Japon. Elle dit qu’elle surveille encore, enquête encore, et mesure encore toute l’ampleur. Elle écrira aux clients touchés. Si elle trouve d’autres faits à divulguer, elle dit qu’elle publiera une mise à jour.

Quoi faire

L’avertissement de Capcom porte sur la suite, pas sur votre carte. Les courriels copiés et les détails de dernière connexion peuvent servir à envoyer des messages qui ressemblent à Capcom. Si un message est inattendu, n’ouvrez ni ses liens ni ses pièces jointes.

1. Vous n’avez pas à changer un mot de passe que Capcom n’a pas dit copié. L’avis ne demande pas à chaque titulaire d’un CAPCOM ID de le réinitialiser. Il dit que les mots de passe choisis par les clients n’ont pas été confirmés comme volés.
2. Si vous ne pouvez pas vous connecter, n’utilisez pas un lien dans un courriel pour réparer ça. Les 196 mots de passe changés ont été réinitialisés par Capcom. Ouvrez la page d’assistance vous-même. Capcom indique ce formulaire pour l’Amérique du Nord, l’Amérique centrale et l’Amérique du Sud, et le même formulaire pour l’Europe, le Moyen-Orient et l’Afrique, plus feedback@capcom.com pour cette région. L’Asie hors Japon, et l’Océanie, passent par info-asia@capcom.com. La ligne du Japon, le 0120-801-271, fonctionne de 10 h à 20 h, heure du Japon, et c’est le numéro sans frais du Japon, pas un numéro à composer depuis le Canada.
3. Un vrai suivi de Capcom n’aura pas besoin que vous saisissiez un numéro de carte. Les cartes n’étaient pas dans l’ensemble copié. Un message qui en demande un n’est pas l’étape de rétablissement de cet incident.
4. L’adresse courriel du compte peut rester. Capcom dit que ces adresses peuvent continuer d’être utilisées. Le risque qu’elle nomme est le courriel frauduleux, pas un compte mort.

Les appels des médias et des investisseurs vont à la section des relations publiques de Capcom à Osaka. Ce numéro n’est pas la ligne des clients.

Sources

• Capcom, « Notice and Apology Regarding Customer Information Affected Through Unauthorized Access » (en anglais), 22 octobre 2026